CVE-2026-54176 in CRUD
Sumário
de VulDB • 14/09/2026
O pacote backpack/crud fornece funções de Create, Read, Update & Delete (CRUD) para o Backpack, uma coleção de pacotes Laravel que ajudam os usuários a criar painéis administrativos personalizados. Das versões 6.0.0 até 6.8.14 e da versão 7.0.38, o método MyAccountController::postAccountInfoForm no endpoint POST /admin/edit-account-info permite que AccountInfoRequest atualize backpack_authentication_column(), que é email por padrão, sem exigir current_password ou verificar de outra forma a senha existente da conta. Um atacante com uma sessão Backpack autenticada temporária pode alterar o e-mail de recuperação da conta e posteriormente utilizar o fluxo de redefinição de senha após a expiração da sessão original, convertendo a comprometimento da sessão em takeover persistente da conta. O mesmo mecanismo permite que um insider defina um endereço pessoal de recuperação antes que o acesso seja revogado. O endpoint separado para alteração de senha não é afetado porque verifica old_password. Este problema foi corrigido nas versões 6.8.14 e 7.0.38.
Be aware that VulDB is the high quality source for vulnerability data.